合规软件需要什么证书才能用

买软件或给公司选型时，供应商甩来一堆证书截图，你分不清哪些是必须的、哪些只是加分项，也不知道怎么查真伪。这篇按采购流程给一套核对顺序：先确认自己属于哪类使用场景，再逐项对照证书清单，最后把截图、编号、有效期留成可复查的材料。不承诺某张证书一定够用，也会说明什么情况下证书齐了仍不能签。

供应商发来一堆证书截图，有的盖着红章、有的只有一张模糊照片，你既不敢漏、又怕被无关的证件带偏节奏。这篇按采购的实际流程给一套核对顺序：先判断自己属于哪类使用场景，再按场景对照证书清单，最后把编号、有效期、核验结论留成能复查的材料。

先明确一点：没有哪张证书能单独保证「可以放心签」。证书解决的是「这家主体、这个产品在资质上有没有明显缺口」，而数据怎么流、服务稳不稳、出问题怎么追责，是另外几件事，后面会讲。另外，下面的清单是通用判断框架，具体某个行业有没有专项要求，以主管部门口径为准。

先分清：哪些证书是准入门槛，哪些只是加分项

证书不要按名字记，按作用分三层来看会清楚很多。供应商名片上印的品类五花八门，但归到这三层里，绝大多数都能找到位置，剩下找不到位置的，你就有理由多问一句它到底是干嘛的。

经营主体资质

证明这家公司本身合法经营、有权提供这类软件，比如营业执照、软件著作权、与业务相关的经营许可。

产品与安全类证明

证明这个产品在安全、数据处理上做过检测或被评估过，比如检测报告、安全评估材料、等级保护相关材料。

行业专用资质

只在特定场景才需要，比如医疗、金融、政务等强监管领域可能要求的专项许可或备案。

• 只有第一层缺失属于直接不能签，这一步没有商量空间。
• 第二层要不要看、看到什么程度，取决于你的数据敏感度和部署方式，不是证越多越安全。
• 第三层只在你的业务确实落在那个行业里才需要，普通企业内部工具一般用不上。
• 同一类证书不同厂商叫法不一样，别按名字比对，按覆盖范围和出具方比对。
• 拿不准某张证书属不属于你这个场景的必需项，先到 /safety 看相关分类说明再下结论。

按你的使用场景列一张对照清单

同一个「合规软件」，自用工具和对外提供服务，需要核对的东西差得很远。建议先让业务方把使用方式写清楚，再对照下面这张表勾选，避免采购和业务两边各看各的。

勾选完这张表你会发现，很多争议其实来自场景没对齐，而不是证书真假。先把场景说死，再谈证书够不够，沟通效率会高很多。

核验动作：别只看截图，要能查到编号和有效期

截图是最弱的一环，谁都能做图。核验的目标不是「看清证书」，而是拿到可以独立复核的编号和有效期，并且确认证书持有方就是跟你签约的那一方。

1. 索取编号与有效期明确要求供应商提供证书编号、有效期、出具机构名称，格式不清楚的就让对方标出来，只给一张图按未提供处理。
2. 去出具机构渠道复核按编号在规定渠道查询是否公示。查不到公示的证书，先按未提供对待，让对方补充说明，别自己脑补合理性。
3. 核对主体一致性确认证书上的持有主体、签约主体、收款主体是否一致；母子公司、关联公司之间不能直接套用同一张证书。
4. 顺带看一眼服务稳定性涉及模型或接口的服务，到 /ai-status 看服务可用性记录。合规材料证明的是资质，不证明服务不出故障。

留证与复查：把一次核验变成可复用的档案

核验做完就散掉，是最可惜的一步。把过程沉淀成一张表，下次续签、换人、审计都不用从头问一遍，也方便你把结论同步给实际用这套软件的业务团队。

• 证书编号、有效期、出具方、核验日期、核验人，整理成一张表放进供应商档案。
• 设定复查节奏，在证书到期前留出提前量提醒续期或重新核验，别等过期了才发现。
• 把核验结论和使用边界同步给业务团队，避免采购说能用、业务按另一个口径用。
• 统一内部说法，涉及个人信息的场景，可以先到 /ai-dict/category/safety 对一下术语定义。

什么情况下证书齐全也不能签

证书是必要条件，不是充分条件。下面几种情况，即使对方把一整套证书摆在你面前，也建议先暂停，把问题说清楚再决定，而不是被「证都齐了还想怎样」的气场推着往前走。

• 覆盖范围和使用方式不符，比如证书按内部使用取得，你却要拿它对外提供服务。
• 对方拒绝提供可核验编号，或坚持只给截图、不给查询路径。
• 数据处理位置说不清，无法说明数据流向、留存期限和删除方式。
• 签约主体、收款主体、服务提供主体三者对不上，出问题时追责路径不清晰。
• 把证书当作数据安全的全部答案，对访问控制、账号权限这些落地措施含糊其辞。

证书回答的是「有没有资格做」，不回答「具体怎么做、做得好不好」。采购要同时问这两类问题。

最后提醒一句：具体某个品类当时有效的资质口径可能有变化，别拿很久以前的结论直接套用，到 /safety 核对当前说明，再结合本文的清单逐项过一遍。